緊急】PHP2Shell 脆弱性と緊急パッチ適用の注意喚起
弊社取引メーカーのPIPELINE株式会社（https://www.ppln.co/）より、PHPの脆弱性に関して注意喚起の情報をいただきました。
大変参考になる情報ですので、同社の了承を得て全文をご紹介させていただきます。
【注意喚起】PHP2Shell 脆弱性と緊急パッチ適用のお願い Oct 22, 2026
概要
公開ウェブサイトで PHP をお使いの場合は、修正版（ 8.5.12／8.4.27／8.3.36／8.2.35 ）への更新を最優先でご対応ください。
2026 年 10 月 21 日、PHP 本体に認証なしで遠隔からコードを実行できる重大な脆弱性 2 件（通称「 PHP2Shell 」、CVE-2026-109618／CVE-2026-109619、CVSS v4.0 9.2）が公表され、同日 22 時 40 分頃に修正版が公開されました。同日 21 時 55 分には首相が X 上で、PHP の使用確認と修正パッチの適用、対応が難しい場合はウェブサイトの一時停止も含めた対応を呼びかけています。
本資料は、公開情報をもとに確認すべき事項と推奨対応を整理したものです。状況は変化しているため、最新情報は末尾の出典をご確認ください。
脆弱性の内容と悪用状況
どちらも PHP 本体の不具合のため、WAF やアプリケーション側の対策、WordPress プラグインの更新だけでは防げません。
| CVE | 内容 | 深刻度 | 修正版 |
| CVE-2026-109618 | リクエスト開始時のメモリ不足をきっかけに、遠隔からコード実行が可能 | CVSS v4.0 9.2（緊急） | 8.5.12/8.4.27 8.3.36/8.2.35 |
| CVE-2026-109619 | 前のリクエストの状態が残り、次のリクエストで悪用される | CVSS v4.0 9.2（緊急） | 同上 |
悪用状況については、公開時点で各社の見解が分かれています。
- Cloudflare：攻撃トラフィックと、WAF 回避を狙った攻撃コードの変化を観測
- watchTowr：おとり環境（ハニーポット）での悪用を確認
- オランダNCSC：10 月 21 日時点で悪用の兆候はないが、複数の攻撃コードが公開されてり、大規模な悪用を警戒
- 米 CISA：10 月 21 日版の既知悪用脆弱性カタログ（KEV）には未掲載
影響を受ける可能性のある環境
ウェブリクエストを処理する PHP は、動作方式を問わず対象となります。
| 対象 | 状況 |
| PHP 8.2〜8.5 | 修正版あり。上記のバージョン以降、または各ディストリビューションの修正済みパッケージへ更新 |
| PHP 8.1以前 | 公式の修正版なし。ディストリビューションやベンダーの対応状況の確認が必要 |
| 動作方式 | PHP-FPM、Apache mod_php、php-cgi、 FrankenPHP、LiteSpeed |
まずは次の点をご確認ください。
- 公開しているウェブサイト・サービスのうち、PHP を使用しているものを洗い出す（WordPress などの CMS を含む）
- 各サーバーの PHP バージョンを確認する（例： php -v ）
- レンタルサーバーや委託先・製品ベンダーが管理しているサービスについて、PHP のバージョンと対応状況を問い合わせる
参考までに、引用元の記事によると、国内で PHP の使用を外部に示している約 14 万件のウェブサービスのうち、バージョンを確認できたものの 73.7 %が公式の修正版がないバージョン（8.1 以前）でした
（外部データによる推計で、実際の数はこれより多い可能性があります）
脆弱性に対する継続的な注意と最新の環境を保持することが、とても大切なことだと改めて認識させられる事案です。パイプライン社の各種サービスならびに弊社がご提供する製品・サービスが今後とも皆様のお役に立てますよう努めてまいります。
以上となりますが、本情報が影響を受けられた皆様のお役にてましたら幸いです。
（提供元：PIPELINE 株式会社）
参考：PIPELINE 株式会社ブログ：Pipeline Blogs
